{"id":917,"date":"2026-09-24T17:11:22","date_gmt":"2026-09-24T17:11:22","guid":{"rendered":"https:\/\/100porcentowp.com.br\/central-de-ajuda\/cms\/logins-wordpress-auditar-admins-varios-sites\/"},"modified":"2026-09-24T17:11:22","modified_gmt":"2026-09-24T17:11:22","slug":"logins-wordpress-auditar-admins-varios-sites","status":"publish","type":"post","link":"https:\/\/100porcentowp.com.br\/central-de-ajuda\/seguranca\/logins-wordpress-auditar-admins-varios-sites\/","title":{"rendered":"Logins WordPress: auditar admins em v\u00e1rios sites"},"content":{"rendered":"

Voc\u00ea assume a manuten\u00e7\u00e3o de um site e, ao abrir Usu\u00e1rios, encontra tr\u00eas administradores: o seu, um e-mail gen\u00e9rico da ag\u00eancia anterior e uma conta com nome de pessoa que ningu\u00e9m reconhece. Em um site s\u00f3, isso \u00e9 chato. Em quinze, vira um problema de seguran\u00e7a que ningu\u00e9m est\u00e1 monitorando. A auditoria de logins WordPress<\/strong> existe para resolver isso de forma sistem\u00e1tica, sem depender de o cliente avisar quando algu\u00e9m sai da equipe.<\/p>\n

O que a auditoria de logins WordPress precisa responder<\/h2>\n

Antes de sair removendo contas, defina o que voc\u00ea quer descobrir. Uma auditoria \u00fatil responde a quatro perguntas:<\/p>\n

    \n
  1. Quantos administradores existem em cada site, e quem s\u00e3o?<\/li>\n
  2. Qual dessas contas pertence a algu\u00e9m que ainda trabalha no projeto?<\/li>\n
  3. Para qual e-mail vai o link de recupera\u00e7\u00e3o de senha de cada admin?<\/li>\n
  4. Quais dessas contas t\u00eam segundo fator de autentica\u00e7\u00e3o ativo?<\/li>\n<\/ol>\n

    Se voc\u00ea n\u00e3o consegue responder \u00e0s quatro em menos de uma hora para toda a sua carteira, o invent\u00e1rio est\u00e1 desatualizado. E invent\u00e1rio desatualizado \u00e9 o que transforma um ex-funcion\u00e1rio em porta de entrada meses depois.<\/p>\n

    Como listar todos os admins sem entrar em cada painel<\/h2>\n

    Entrar site por site pelo navegador n\u00e3o escala. Existem dois caminhos que funcionam em lote, e a escolha depende do acesso que voc\u00ea tem.<\/p>\n

    Com SSH e WP-CLI<\/h3>\n

    Se a hospedagem oferece SSH, o WP-CLI resolve em um comando por site:<\/p>\n

    wp user list --role=administrator --fields=ID,user_login,user_email,user_registered<\/code><\/pre>\n
    Para rodar em v\u00e1rios sites de uma vez, monte um la\u00e7o que percorre os diret\u00f3rios e grava a sa\u00edda em um arquivo \u00fanico. Assim voc\u00ea tem uma planilha de partida em minutos, em vez de abrir quinze pain\u00e9is.<\/p>\n
    Sem SSH, s\u00f3 com painel e banco<\/h3>\n
    Sem SSH, o caminho \u00e9 o phpMyAdmin da hospedagem. A consulta abaixo lista os administradores direto da tabela de capabilities:<\/p>\n
    SELECT u.ID, u.user_login, u.user_email, u.user_registered\nFROM wp_users u\nINNER JOIN wp_usermeta m ON m.user_id = u.ID\nWHERE m.meta_key = 'wp_capabilities'\nAND m.meta_value LIKE '%administrator%';<\/code><\/pre>\n
    Troque o prefixo wp_<\/code> pelo prefixo real da instala\u00e7\u00e3o. Se o site usa prefixo customizado, a consulta falha silenciosamente com zero linhas, e voc\u00ea pode concluir, errado, que n\u00e3o h\u00e1 administradores.<\/p>\n
    Vale lembrar que a auditoria de contas \u00e9 uma parte do hardening, n\u00e3o o todo. Se voc\u00ea est\u00e1 assumindo sites novos, vale ver o que priorizar em seguran\u00e7a WordPress instala\u00e7\u00e3o: hardening em v\u00e1rios sites<\/a>.<\/p>\n
    Identificando contas \u00f3rf\u00e3s de ex-funcion\u00e1rios e ag\u00eancias<\/h2>\n
    Conta \u00f3rf\u00e3 \u00e9 aquela cujo dono n\u00e3o trabalha mais no projeto, mas que continua com acesso total. Ela aparece de tr\u00eas formas t\u00edpicas:<\/p>\n\n\n\n\n\n
    Sinal<\/th>\nO que costuma indicar<\/th>\n<\/tr>\n
    E-mail gen\u00e9rico (contato@, admin@, suporte@)<\/td>\nConta compartilhada criada por ag\u00eancia anterior<\/td>\n<\/tr>\n
    Login com nome de pessoa que ningu\u00e9m reconhece<\/td>\nEx-funcion\u00e1rio ou freelancer que saiu sem handover<\/td>\n<\/tr>\n
    Data de registro antiga, sem login recente<\/td>\nConta esquecida, provavelmente sem 2FA<\/td>\n<\/tr>\n<\/table>\n
    Cruze a lista com quem voc\u00ea sabe que trabalha no projeto hoje. O que sobrar entra em uma de tr\u00eas categorias: remover, rebaixar para editor ou manter com justificativa registrada. N\u00e3o deixe “manter” como resposta padr\u00e3o. Se ningu\u00e9m sabe por que a conta existe, ela n\u00e3o deveria ter acesso de administrador.<\/p>\n
    Antes de remover, verifique se a conta \u00e9 autora de conte\u00fado. No WordPress, excluir um usu\u00e1rio permite transferir os posts para outra conta, e essa etapa evita que o site perca autoria. Se voc\u00ea tem d\u00favida sobre o que fazer quando encontra uma conta que n\u00e3o criou, o passo a passo est\u00e1 em usu\u00e1rio administrador desconhecido no WordPress<\/a>.<\/p>\n
    Padronizando o e-mail de recupera\u00e7\u00e3o de cada admin<\/h2>\n
    O e-mail de recupera\u00e7\u00e3o \u00e9 o ponto mais fr\u00e1gil de qualquer login WordPress. Se ele aponta para o endere\u00e7o de um ex-funcion\u00e1rio, essa pessoa consegue redefinir a senha a qualquer momento, mesmo depois de voc\u00ea trocar a senha atual.<\/p>\n
    Padronize assim:<\/p>\n
      \n
    1. Cada admin deve ter e-mail pr\u00f3prio, n\u00e3o compartilhado.<\/li>\n
    2. O e-mail precisa ser de um dom\u00ednio que a empresa controla, n\u00e3o Gmail pessoal.<\/li>\n
    3. Contas de servi\u00e7o (integra\u00e7\u00f5es, monitoramento) devem usar um alias dedicado, n\u00e3o o e-mail pessoal de algu\u00e9m.<\/li>\n
    4. O e-mail administrativo do WordPress (Configura\u00e7\u00f5es \u2192 Geral) deve ser diferente do e-mail de qualquer admin.<\/li>\n<\/ol>\n
      Esse \u00faltimo ponto importa porque o e-mail administrativo recebe avisos de atualiza\u00e7\u00e3o, novos usu\u00e1rios e pedidos de redefini\u00e7\u00e3o. Se ele aponta para a mesma caixa de um admin, um vazamento de senha compromete as duas fun\u00e7\u00f5es de uma vez.<\/p>\n
      Aplicando 2FA em lote<\/h2>\n
      Segundo fator n\u00e3o \u00e9 opcional em conta de administrador. O problema \u00e9 aplicar em v\u00e1rios sites sem entrar em cada painel, um por um.<\/p>\n
      Existem tr\u00eas caminhos, e cada um tem um custo:<\/p>\n